Google ChromeやSafariに脆弱性、Webサーバからローカルサービスに不正接続

マイナビニュース / 2024年8月12日 15時55分

しかしながら、プライベートネットワークアクセスの仕様には「0.0.0.0」が定められておらず、リクエストは送信可能とされる。応答はブロックされるため脅威ではないように思えるが、Oligo Securityはいくつかの悪用実験に成功している。

○対策

同社の報告を受けて、Apple は WebKit に重大な変更を加え、0.0.0.0 へのアクセスをブロックしたという。また、Chrome はChromium 128 から0.0.0.0 (Finch Rollout) へのアクセスをブロックしたという。Firefoxは修正作業中とされ、具体的な進捗は各Webブラウザの発表や、コミュニティ、バグ報告の内容などを確認することが望まれる。

「0.0.0.0 Day」はWebブラウザだけではなく、外部から指定されたIPアドレスに接続するすべてのネットワークアプリケーションに影響する可能性がある。Oligo Securityは影響を受けるソフトウェアの開発者に対し、プライベートネットワークアクセスの実装やすべての接続に認証を要求するなどの対策を推奨している。
（後藤大地）